实现HATEOAS的rest API的权限

Question

我正在尝试找出在单页面应用程序中处理权限的正确方法，该应用程序直接与几个实现HATEOAS的RESTful API对话。

举个例子：

“作为我的应用程序的用户，我可以查看，启动和暂停作业，但不能阻止它们。”

基础rest API具有以下资源：

/ jobs / {id}接受GET和PUT。 GET返回作业模型，PUT接受作业模型作为请求体：

{
 "_links" : {
     "self" : "/jobs/12345678"
 }
 "id" : 12345678,
 "description" : "foo job",
 "state" : "STOPPED"
}

接受的工作状态可以是：休眠| 跑步| 暂停了| 停止。

要求说在UI上我必须有按钮：

开始，暂停，停止

...并且仅基于登录用户的权限进行显示。

从API的角度来看，一切都可以作为服务器上的底层逻辑，确保用户在发出请求时无法将状态更新为STOPPED状态（可能会返回401）。

通知app / UI用户权限的最佳方法是什么，因此它可以隐藏用户无权操作的任何按钮？

如果API提供权限列表，可能类似于：

{
 "_links" : {
     "self" : "/permissions",
     "jobs" : "/jobs"
 }
 "permissions" : { 
     "job" : ["UPDATE", "DELETE"], 
     "job-updates" : ["START", "PAUSE"] 
  }
}

或者应该更改API以便权限反映在HATEOS链接中可能类似于：

{
 "_links" : {
     "self" : "/jobs/12345678",
     "start" : "/jobs/12345678/state?to=RUNNING", 
     "pause" : "/jobs/12345678/state?to=PAUSED", 
 }
 "id" : 12345678,
 "description" : "foo job",
 "state" : "DORMANT"
}

还是应该以完全不同的方式完成？

UPDATE

我发现以下文章提出了一个答案： https ： //softwareengineering.stackexchange.com/questions/215975/how-to-handle-fine-grained-field-based-acl-permissions-in-a-restful-服务

Answer 1

我会选择后者：根据存在的链接暗示权限。

如果链接不存在，则用户无法访问资源/执行操作。 如果是，他们可以。 这就是我要做的事情，因为它简单而干净，并且几乎没有前端代码的自由裁量权。 解耦，哟。

或者，如果您确实希望在每个响应中包含所有链接但是明确指定允许哪些链接，哪些不允许，如果您使用HAL等格式来编写链接，则可以在每个链接上使用标记来扩展它，例如所以：

{
    "_links" : {
        "self" : {
            "href":"/jobs/12345678",
            "allowed":false
        },
        "start" : {
            "href":"/jobs/12345678/state?to=RUNNING",
            "allowed":false
        },
        "pause" : {
            "href":"/jobs/12345678/state?to=PAUSED",
            "allowed":false
        }
    },
    "id" : 12345678,
    "description" : "foo job",
    "state" : "DORMANT"
}

Answer 2

我会选择后者。 我不喜欢前者的原因是因为您要为客户创建额外的工作，要求它找出权限与它们允许访问的资源之间的映射。 如果您使用hateoas并检查是否存在关系类型，则服务器会为您完成此映射。 这也意味着uris可以在不打破客户的情况下改变。

我最近写了一篇关于这个领域的博客文章：

https://www.opencredo.com/2015/08/12/designing-rest-api-fine-grained-resources-hateoas-hal/

Answer 3

您应该使用表单而不是链接来提供状态转换超媒体。 如果您无法在媒体类型中提供表单，请提供指向使用支持表单的其他媒体类型（如XHTML）的URI的链接。

为此，IANA为create-form ， edit-form和delete-form提供了链接关系 。

另外，请不要使用start和pause作为真正的链接关系。 如果您自己定义它们，它们必须是URI（最好是HTTP URL，但是您控制下的任何URI都可以）。 start与你正在使用它的含义完全不同，并且没有定义pause 。